6月18日消息，據(jù)國外媒體報道，研究人員發(fā)現(xiàn)蘋果OS X和iOS系統(tǒng)跨的應(yīng)用資源分享協(xié)議中存在3個嚴(yán)重漏洞，這些漏洞可被用于盜竊用戶數(shù)據(jù)，如密碼和秘密的認(rèn)證密鑰，其中一個漏洞可以使攻擊者繞過Keychain管理系統(tǒng)。

這3個漏洞由來自印第安納大學(xué)、喬治亞科技大學(xué)以及北京大學(xué)的6位研究人員組成的團(tuán)隊發(fā)現(xiàn)，它們依賴于執(zhí)行Keychain的控制清單、OS X的應(yīng)用程序容器以及URL Scheme過程中存在的基礎(chǔ)性錯誤。研究人員稱，他們已經(jīng)于去年10月通知蘋果，該公司提出需要6個月時間要修復(fù)該漏洞。

Keychain的漏洞源自于該管理系統(tǒng)未能核實應(yīng)用程序是否應(yīng)該獲得修改條目的權(quán)利。一旦利用這個新發(fā)現(xiàn)的漏洞，惡意應(yīng)用可以刪除已經(jīng)存在的條目，并讓惡意應(yīng)用能夠訪問和閱讀該條目的內(nèi)容。

另一個漏洞存在于OS X的應(yīng)用程序容器，這些容器的目的是使Mac App Store應(yīng)用不能在未獲得明確許可的情況下訪問屬于其他應(yīng)用程序的數(shù)據(jù)。蘋果還為每款應(yīng)用提供一個Bundle ID以加強(qiáng)這種訪問控制，但對于屬于輔助應(yīng)用程序的Bundle ID，Mac App Store并不會核實其唯一性。惡意程序可以創(chuàng)造一個克隆現(xiàn)有應(yīng)用的Bundle ID的惡意輔助應(yīng)用，從而獲得訪問正規(guī)應(yīng)用的容器的權(quán)利。

另一個存在于URL Scheme的漏洞可以讓研究人員劫持其他正規(guī)應(yīng)用的URL Scheme并抓取應(yīng)用之間的數(shù)據(jù)通信。例如，惡意應(yīng)用可以注冊用于Facebook登陸的fbauth://安排，之后攔截用戶的Facebook認(rèn)證令牌。

在最新的預(yù)覽版OS X Yosemite中，這些漏洞仍然尚未修復(fù)，不過研究人員尚未對上周宣布的OS X El Capitan進(jìn)行測試。

目前尚不清楚蘋果計劃接下來如何減輕這些威脅，因為這需要對 OS X及 iOS與應(yīng)用進(jìn)行通信的方式作出重大的結(jié)構(gòu)調(diào)整。

同時，研究人員建議用戶采取標(biāo)準(zhǔn)的安全預(yù)防措施：不要安裝來自位置源的應(yīng)用程序，并對任何可疑的密碼提示保持謹(jǐn)慎態(tài)度。